Регулярное выражение плохо проверяет пароли

Удалите ^ в конце preg_match. ^ означает (если найден как первый символ) начало, если это конец, это означает, что символ ^ должен присутствовать, но поскольку $ появляется перед ним, его значение сбивает с толку и может означать несколько вещей, наиболее " возможно" один после конца символ ^.

Используйте regexpal.com для проверки вашего регулярного выражения.

На самом деле я бы изменил это на это:

if (preg_match("[^A-Za-z0-9 _]", $_POST['password']))
{
  // invalid character
}

Нет такой вещи, как «АНГЛИЙСКАЯ» цифра или буква. Многие языки пишутся (или могут писаться) с использованием того же алфавита, что и английский. Его обычно называют латинским алфавитом.

Если вы действительно хотите принимать только латинские буквенно-цифровые символы, используйте:

if preg_match("/^[a-zA-Z0-9]+$/", $_POST['password']) {
  //good to go
} else {
  //I don't like this password
}

Ваше исходное регулярное выражение имеет дополнительный конечный ^ и допускает пробелы и символы подчеркивания. Вы хотите, чтобы эти символы также были разрешены? Если это так, используйте ^[\w ]+$.

Однако, если вы делаете это, чтобы ограничить количество символов, из которых могут состоять пароли, задумывались ли вы о том, что делаете? Ограничение набора символов, которые вы принимаете для паролей, резко снижает их надежность. Вы должны разрешить максимально широкий диапазон символов, чтобы пользователи могли выбирать надежные пароли.

Если вы проверяете слабые пароли, не обращайте на них внимания. Однако есть и другие факторы, которые следует учитывать, например, длина и наличие словарных слов. См. этот ответ для некоторых отличных деталей.

Кстати, храните ли вы пароли своих пользователей в хешированной форме? Это абсолютная необходимость.

Пытаться

preg_match('/^[\w]+$/', $_POST['password'] ) instead ! 

Альтернатива:

preg_match("/^[a-zA-Z0-9]+$/", $_POST['password'])

preg_match() и подобные используют разделитель, установленный в первом символе. Это завершит регулярное выражение, после чего строка должна закончиться или может указывать только модификаторы.

Таким образом, ваш код должен быть, например.

if (!preg_match('`^[A-Za-z0-9 _]+$`', $_POST['password']))
{
// show error
}
{

Вы использовали ^ в качестве разделителя, но должны использовать его, чтобы ваше регулярное выражение совпадало с начала строки, поэтому я использую обратную кавычку `, поскольку она редко используется в строке (другие использовали бы /).

Кроме того, используйте одинарные кавычки, потому что двойные кавычки " позволяют ссылаться на долларовую переменную, но вы хотите, чтобы $ обозначало конец пароля для сопоставления.

Еще одна вещь: сопоставление [...]* также позволит использовать пустые пароли, которые вы не должны поощрять, поэтому + (хотя это спорно, если вы предпочитаете пароли, содержащие не менее n символов, т. е. сопоставление с использованием [...]{n,}).